Falhas do tipo CWE-862

9.257 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-105421MEDIUMWordPress Kit (formerly ConvertKit) for WooCommerce plugin <= 2.2.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-11989LOWMissing Authorization in GitLabEPSS 0.2%CVE-2025-58192MEDIUMWordPress WP Bulk Delete Plugin <= 1.3.6 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2023-41750LOWSensitive information disclosure due to missing authorization. The following products are affected: Acronis Agent (Linux, macOS, Windows) beEPSS 0.2%CVE-2026-80338MEDIUMCMB2 < 2.13.0 - Subscriber+ Arbitrary Option Corruption via oEmbed HandlerEPSS 0.2%CVE-2025-69189HIGHWordPress JobBank plugin <= 1.2.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-87669MEDIUMA missing authorization check in Brocade Fabric OS versions before 10.0.1 REST API interface of affected platform releases allows an authentEPSS 0.2%CVE-2026-18177HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.2%CVE-2025-62144MEDIUMWordPress Core Web Vitals & PageSpeed Booster plugin <= 1.0.28 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-107791MEDIUMWP Comment Cleaner 6.1 - 7.1 - Subscriber+ Bulk Comment Deletion via nav_delete_all_commentEPSS 0.2%CVE-2023-20909MEDIUMIn multiple functions of RunningTasks.java, there is a possible privilege escalation due to a missing privilege check. This could lead to loEPSS 0.2%CVE-2026-24996MEDIUMWordPress WPElemento Importer plugin <= 0.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-0998MEDIUMMattermost Zoom Plugin allows unauthorized meeting creation and post modification via insufficient API access controlsEPSS 0.2%CVE-2024-14032HIGHTwitch Studio LauncherHelper XPC Missing Authorization to Root File WriteEPSS 0.2%CVE-2022-42479MEDIUMWordPress Soledad premium theme <= 8.2.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-100388MEDIUMRustDesk before 1.5.0 Missing Authorization Check on Incoming File Clipboard MessagesEPSS 0.2%CVE-2026-25020MEDIUMWordPress WP Sync for Notion plugin <= 1.7.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24358MEDIUMWordPress Quiz And Survey Master plugin <= 10.3.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24371MEDIUMWordPress BA Book Everything plugin <= 1.8.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105698MEDIUMLangflow: Cross-user flow access and vertex execution via deprecated /api/v1/build/{flow_id}/vertices endpointsEPSS 0.2%